CVE-2026-62247

ŚrednieCVSS 6.5

Opublikowano: 21/09/2026(UTC)Zaktualizowano: 24/09/2026(UTC)Przetłumaczono: 22/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 37 - wyżej niż 37% wszystkich znanych CVE

Streszczenie

Supabase Realtime przed wersją 2.111.2 ma podatność w autoryzacji, która nie honoruje poprawnie polityki bezpieczeństwa na poziomie wierszy (RLS) presence.read dla rozszerzenia, gdy klient kanału prywatnego ma przyznane presence.write, ale jawnie odmówione presence.read. W takiej sytuacji klient może otrzymywać wiadomości presence_diff zawierające metadane obecności innych członków, w tym lokalizację, status online, listę, oglądanie lub informacje o pisaniu. Wdrożenia z jednolitą widocznością obecności nie mają tej różnicy, a dane postgres_changes nie są dotknięte. Problem naprawiono w wersji 2.111.2.

Ocena ryzyka

Organizacja może doświadczyć nieautoryzowanego ujawnienia metadanych obecności użytkowników, co narusza prywatność i może być wykorzystane do śledzenia aktywności.

Rekomendacja

Zaktualizuj Supabase Realtime do wersji 2.111.2 lub nowszej, aby naprawić podatność. Przejrzyj polityki RLS dla presence, aby upewnić się, że są spójne.

Inne podatności w Supabase Realtime

CVE-2026-54238Niskie
Supabase Realtime przed wersją 2.103.1 akceptuje wygasły JWT w endpointach REST broadcast, gdy roszczenie exp jest zakodowane jako ciąg JSON zamiast liczby. Umożliwia to nieuwierzytelnionemu atakującemu rozgłaszanie wiadomości w czasie rzeczywistym do subskrybentów.

Oryginalny opis (angielski, źródło NVD)

Supabase Realtime provides Broadcast, Presence, and Postgres Changes via WebSockets. Prior to 2.111.2, Realtime authorization does not correctly honor the per-extension presence.read row-level security policy when a private-channel client is allowed presence.write but explicitly denied presence.read. Under that differential policy, the client can receive presence_diff messages containing other members' presence metadata, including application-defined location, online-status, roster, viewing, or typing information. Deployments with uniform presence visibility have no differential, and postgres_changes row data is unaffected. This issue is fixed in version 2.111.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS